Meta va-t-il pouvoir continuer à suivre ses utilisateurs européens, après cet arrêt de la Cour de justice de l'UE ?

C’est un nouvel épisode judiciaire qui vise Meta, et qui devrait cette fois donner un sacré coup à son modèle économique. Le 4 juillet dernier, la Cour de justice de l’Union européenne (CJUE) a confirmé que le groupe cofondé par Mark Zuckerberg était bien obligé d’obtenir notre consentement pour collecter nos données et nous fournir de la publicité. En substance, il est rappelé que Meta ne peut pas collecter des quantités abyssales de données simplement parce qu’un utilisateur s’est inscrit sur Instagram, Meta ou WhatsApp.

À l’origine de cette affaire, l’autorité de la concurrence allemande demandait à celle qui s’appelait encore Facebook, en février 2019, de cesser de « superprofiler » ses utilisateurs, d’arrêter de combiner leurs données dans ses autres plateformes (comme WhatsApp et Instagram), si l’entreprise n’avait pas obtenu leur consentement. Le groupe avait contesté cette décision et formé un recours contre cette ordonnance devant les tribunaux allemands, recours qui avait abouti au renvoi devant la CJUE en mars 2021. Deux ans plus tard, le verdict est enfin tombé.

Nécessité, intérêt légitime… Les alternatives au consentement retoquées par les juges

Dans ce dossier, une des questions clé était de savoir si la façon dont Meta justifiait sa collecte et son traitement des données personnelles était légale. En Europe, ces « justifications » sont définies dans six cas spécifiques, qui sont listés à l’article 6 du règlement général sur la protection des données (RGPD). On trouve par exemple des systèmes d’opt-in, dans lesquels les utilisateurs consentent à l’utilisation de leurs données pour des publicités. Mais Meta avait choisi, initialement, de passer par une autre possibilité listée dans cet article pour imposer aux utilisateurs le traitement de leurs données pour des publicités dites comportementales, des publicités ciblées : l’utilisation des données si cela est « nécessaire dans le cadre du contrat ». Ce choix avait été retoqué en décembre dernier par le Comité Européen de la Protection des Données (l’organisme qui réunit les Cnils européennes). Il avait condamné la société à changer d’approche, estimant que cette justification n’était pas valable dans une telle situation.

Conséquence : Meta avait alors expliqué dans un billet de blog, le 30 mars dernier, qu’il allait changer de base juridique (donc d’article du RGPD) pour être conforme au droit européen. Le groupe a choisi de se prévaloir d’un autre des six cas listés à l’article 6 du RGPD : celui de « l’intérêt légitime ». Dans certains cas, le consentement explicite n’a pas besoin d’être recueilli si, « dans le cadre d’une relation client, le traitement d’une donnée permet de poursuivre les intérêts légitimes du prestataire de services – à condition que cela ne se fasse pas au détriment des intérêts de l’utilisateur ou de ses droits et libertés ».

Problème : toutes les plateformes qui ont essayé de se servir de cet article pour justifier le traitement des données se sont toutes fait retoquer par les cours de justice européennes. Le 4 janvier dernier, l’autorité garante de la protection des données personnelles des Européens avait déjà condamné Meta à payer deux amendes : une de 210 millions (pour Facebook) et l’autre de 180 millions d’euros (pour Instagram), soit 390 millions d’euros, notamment parce que son traitement des données personnelles – et en particulier celles récoltées à des fins publicitaires – était jugé non conforme au droit de l’UE.

« Meta ne peut pas simplement contourner le RGPD avec quelques paragraphes dans ses conditions générales »

Et c’est exactement ce qu’a décidé la CJUE dans son arrêt du 4 juillet dernier. Les juges ont expliqué que Meta ne pouvait pas passer par « l’intérêt légitime ». Ils ont précisé qu’« en l’absence d’un consentement de leur part, les intérêts et les droits fondamentaux [des] utilisateurs prévalaient sur l’intérêt de l’opérateur d’un réseau social en ligne à la personnalisation de la publicité par laquelle il finançait son activité ». Traduction : Meta ne peut pas justifier la collecte de données par cet article.

Pour les associations de défense de la vie privée, c’est une bonne nouvelle. Cela fait des années qu’elles forment des recours pour forcer Facebook à demander le consentement de ses utilisateurs pour de tels traitements. Obliger une plateforme à poser la question donne la possibilité aux internautes d’avoir un choix et de refuser la collecte. Max Schrems, à la tête de l’association Noyb, a souligné dans un communiqué que « cette décision clarifie davantage le fait que Meta ne peut pas simplement contourner le RGPD avec quelques paragraphes dans ses conditions générales (…). « Cela signifie que Meta doit obtenir un consentement approprié [de ses utilisateurs] et ne peut pas utiliser sa position dominante pour forcer les gens à accepter des choses qu’ils ne veulent pas ». L’arrêt est aussi revenu sur la position dominante de l’entreprise, une situation qui lui impose de prouver que le consentement a été donné « valablement ».

À lire aussi : Comment l’Europe a abandonné vos données personnelles aux espions américains

Une décision qui « aura des effets considérables sur les modèles économiques de l’économie des données »

Contacté par l’AFP, Meta a répondu « être en train d’évaluer la décision ». Les conséquences pour le groupe pourraient être lourdes, car la publicité représente la majorité de ses recettes. Et si un utilisateur a le choix, il pourrait refuser cette collecte — autant de données qui ne pourraient plus être prélevées et monétisées par le groupe.

Pour continuer à collecter les données des Européens, il faudra donc que Meta change de base légale et qu’elle mette en place un système de recueil du consentement de ses utilisateurs, avant de les suivre. « Ce jugement aura des effets considérables sur les modèles économiques de l’économie des données », souligne Andreas Mundt, directeur de l’autorité de la concurrence allemande, dans un communiqué publié le 4 juillet. « Les données sont un facteur décisif dans l’établissement d’un pouvoir de marché. L’utilisation des données personnelles des consommateurs par les grandes entreprises de l’internet peut être abusive au regard du droit de la concurrence », ajoute-t-il.

L’affaire n’est cependant pas encore terminée. Désormais, ce sont les juges allemands qui vont reprendre ce dossier – qui avait été suspendu en attendant l’arrêt de la CJUE – et qui devront l’interpréter en appliquant le point de vue de la CJUE. Ce qui signifie que de longs mois risquent de s’écouler en attendant un arrêt qui ordonne à au propriétaire de Facebook de mettre en place un système de recueil du consentement. Et même si seules les plateformes de Meta en Allemagne seront concernées, cette décision pourrait influencer les autres autorités européennes, qui pourraient imposer à Meta le même recueil de consentement.